Ein gemeinsamer Blick auf viele Systeme
Ereignisprotokolle sind schnell zur Hand, solange nur ein einzelner Server untersucht werden muss. In einer gemischten Umgebung wird es aufwendiger: Windows, Linux und unterschiedliche Serverrollen liefern ihre Hinweise an verschiedenen Stellen. Unser Ziel war, diese Ereignisse zentral verfügbar zu machen und Fehler über Systemgrenzen hinweg verfolgen zu können.
Graylog war bereits für zahlreiche Windows-Systeme im Einsatz. Wir haben die Aufnahme um weitere Infrastrukturserver und anschliessend um zwei Linux-Hosts erweitert. Dabei sollten Monitoring und Logging einander ergänzen: Checkmk beobachtet Zustände und Messwerte, Graylog sammelt die ausgewählten Ereignisse für die spätere Auswertung.
Der interessante Umweg über TLS
Auf beiden Linux-Hosts funktionierten die Zertifikatsprüfung und ein erster TLS-Verbindungstest. Trotzdem traf zunächst nur von einem Host die erwartete Testmeldung ein. Der andere meldete in seinem lokalen Log wiederholt einen nicht unterstützten Verschlüsselungsalgorithmus.
Der entscheidende Unterschied lag zwischen Vorprüfung und tatsächlichem Versand: Der Test verwendete OpenSSL, der betroffene Logsender GnuTLS. Nach dem gezielten Wechsel des Sender-Treibers auf OpenSSL kam auch dessen markierte Testmeldung in Graylog an. Die Zertifikats- und Namensprüfung blieb dabei eingeschaltet. Welcher Algorithmus oder welche Bibliothekskombination den ursprünglichen Fehler genau auslöste, haben wir damit noch nicht bestimmt.
Was am Ende nachgewiesen war
Die neu aufgenommenen Windows-Infrastrukturserver und beide Linux-Hosts lieferten ihre Testereignisse an Graylog. Für den ersten Linux-Host waren ausserdem laufende Systemmeldungen sichtbar. Damit war der neue Übertragungsweg geprüft und nicht nur ein laufender Dienst bestätigt.
Der Testumfang ist dabei wichtig: Host-Ereignisse, Container-Ausgaben und Anwendungsdateien sind unterschiedliche Quellen. Für jede benötigte Quelle sollte eine eindeutige Testmeldung den vollständigen Übertragungsweg bestätigen.
Die Erkenntnis für den Betrieb
Ein erfolgreicher Verbindungstest ist ein hilfreicher Zwischenstand. Erst eine eindeutige Testmeldung, die am vorgesehenen Ziel gefunden wird, schliesst die Prüfung des gesamten Logwegs ab. Genau diese Unterscheidung hat uns hier vor einem verfrühten Abschluss bewahrt.